個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお

はじめに 研究開発第二部リードセキュリティエンジニアの一瀬です。先日は「セキュリティエンジニアを目指す人に知っておいてほしい組織」を公開しました。今回は、セキュリティエンジニアを目指す人に知っておいてほしい制度やガイドライン、サービスについてまとめました。こちらも、セキュリティエンジニアとして働いていると日常的に会話に出てくるものばかりです。これからセキュリティを学ぼうという方の参考になれば幸いです。なお、記載した情報はすべて執筆時点 (2023 年 7 月) のものです。 はじめに 制度・ガイドライン セキュリティ設定共通化手順 (SCAP) 共通脆弱性識別子 (CVE) 共通脆弱性評価システム (CVSS) ISMS適合性評価制度 政府情報システムのためのセキュリティ評価制度 (ISMAP) CSIRT Services Framework PSIRT Services Framewo

※本講座に使われている技術、攻撃手法は実際のものであり、本講座外での外部サイト への攻撃は不正アクセス禁止法に抵触し、取り締まり対象となりますのでご注意ください。 ※この物語はフィクションです。実在の団体や人物と一切関係はありません。 「攻撃手法から学ぶハッカー入門」は、誰もがホワイトハッカーになれるよう、 ハッカーの攻撃手法を実際に試しながら学べる世界初のセキュリティ講座です。 SQLインジェクションやXSS（クロスサイトスクリプティング）など、 知っているが実際に試したら捕まってしまう、 Webアプリケーションの脆弱性に対するハッキング手法を、 仮想実行環境を利用し実際にハッキングと対策方法を試しながら セキュリティ対策が学べる画期的な講座です。 転職・就活情報から未経験向け求人や動画学習まで、IT／WEBエンジニアに特化した総合求職・学習サイト「paiza（パイザ）」。 プログラミン

「セキュリティの基礎は無料で学べる」　ワンクリックで”リテラシー”高める無料教本：ITりてらしぃのすゝめ（1/3 ページ） ほとんどの人にとっては、ITセキュリティは難しいもので、勉強するのは面倒に感じるかもしれません。将来的に素晴らしい技術が登場して、私たちが何も気にしなくてもAIや機械がサイバー空間を守ってくれるようになる未来は必ずやってくると信じているものの、現状は私たち自身がサイバーセキュリティについて学んでいく必要があります。 いきなりセキュリティの達人になることはできなくても、「あ、これ聞いたことがあるな」と気付けるだけで、多くの脅威から身を守ることができます。 ならば、その「聞いたことがある」という状況にまでステップアップしてしまいましょう。これまでなら本屋に行って何か教本を買ってくるか、ネット上で調べるのが定番でした。いまやその第一歩が、無料の電子書籍で済んでしまうのですか

はじめに 中山（順）です 4年ほど前にこの記事のタイトルと同じテーマで資料を作成したことがあるのですが、古い内容があったり新しいサービスのことが含まれていなかったりするので改めてまとめてみました。令和だし！ その時の資料はこちらです（クラスメソッドにジョインするくらい2年前です）。 AWSアカウントを作ったら最初にやるべきこと サインアップ （業務利用の場合）非個人メールアドレスでサインアップ サポートプランの確認 ID管理 / 権限管理 CloudTrailの有効化 ルートアカウントのMFA設定 IAM User / IAM Groupの作成 パスワードポリシーの設定 GuardDutyの有効化 Security Hubの有効化 請求 IAM Userによる請求情報へのアクセス許可 支払通貨の変更 Budgetの設定 Cost Explorerの有効化 Cost Usage Report

Akerun Advent Calendar 3日目 〜セキュリティ意識の改善〜。 はじめまして！ AkerunのAPIや管理画面を主に開発しているエンジニアのuchidaです。 みなさんはパソコンから離れるとき、ロックする習慣はついているでしょうか？ Photosynthでは「社内でもパソコンから離れる時はロックする」ということが社内規則で定められています。 こういったルールを規則として設けてる会社は多いのですが、守らない人というのは僕がこれまで努めたどの会社にもいました。 そういう人には離席した時にパソコンを操作して「実際に困る」という事を体験してもらえばいいのではないかと考え、今回は僕が考えた効果の高そうな方法を紹介します。 あくまでネタ記事として軽い気持ちで読んでいただけると幸いです。 今回の記事の対象OSはmacOSです(便宜上「パソコン」と表記します)。 1. ディスプレイの表

piyokangoさんが詳しいが自分も少し調べたので。 d.hatena.ne.jp ImageTragick どんな脆弱性？ 外部からの入力により、意図せずに、ファイルを読みこんだり、ファイルを移動したり、削除したり、特定のURLにアクセスしたり、任意のコードを実行可能な脆弱性。 どういうアプリが攻撃される？ 画像をアップロードしてImageMagickを使って変換するみたいなサービスが狙われるかな。 どういう仕組みで攻撃しているのか ImageMagickはいろんな種類のファイルを処理できるが、そのためにcoderとdelegateという機能がある。coderはライブラリとして各種ファイルを変換する機能、delegateは適切なcoderがなかった時に、外部コマンドを用いて変換する機能である。 CVE-2016-3714(コード実行の脆弱性)については、delegateの機能で外部コマ

DMZなんかにプロキシサーバを立てて、外部サーバのAPIなんかを呼び出したい場合なんかに、Apacheでフォワードプロキシを立てる。 構成 APサーバ⇒（DMZの）フォワードプロキシサーバ⇒外部APIサーバ この構成にする理由 DMZをはさむことでネットワーク的なセキュリティを確保 取得したコンテンツをキャッシュすることで負荷軽減 httpd.confの設定変更 下記の２つのモジュールをロードする。 LoadModule proxy_module modules/mod_proxy.so LoadModule proxy_http_module modules/mod_proxy_http.so proxy ディレクティブとして以下を設定。 # ここがOffだとリバースプロキシになるので注意！ ProxyRequests On Order deny,allow Deny from all

＼閉鎖予定のサイトも売れるかも？／ アクセスがないサイトもコンテンツ価値で売れる場合も… ドメインの有効期限を更新してサイト売却にトライしてみましょう

ここ最近デジカメのExif（イグジフと読むらしい）情報について いくつか人とお話する機会がありました。 「ブログ書いてると、詳しい人が調べたら自宅とかわかっちゃうんですよね？」と言われましたが、それより前に一番気をつけたいのがデジカメの写真の取扱い方です。 友人と話してたらExif情報について知らない人もわりといたので、なるべくわかりやすくまとめます。初心者向けです。ネット猛者のみなさんにはあまりにも常識過ぎるのでスルーして下さい。 デジカメにはExif情報というデータが含まれています。 いつ・どんなカメラで・どんな設定で写真を撮ったか。の情報が入ってるものです。 一番問題なのはGPS情報です。 これがうっかりついたままアップしてしまうと、自宅の情報を公開したりしてしまいます。 デジカメにもGPSの機能がついているものもありますが、一番GPS情報がつきやすいのはスマホです。 ■カメラの設定

Webサーバーがレスポンスを発行する際に、HTTPレスポンスヘッダーに付けるとセキュリティレベルの向上につながるヘッダーフィールドを紹介します。 囲み内は推奨する設定の一例です。ブラウザによっては対応していないヘッダーフィールドやオプションなどもありますので、クライアントの環境によっては機能しないこともあります。 X-Frame-Options ブラウザが frame または iframe で指定したフレーム内にページを表示することを制御するためのヘッダーフィールドです。主にクリックジャッキングという攻撃を防ぐために用いられます。 X-Frame-Options: SAMEORIGIN DENY フレーム内にページを表示することを禁止（同じサイト内であっても禁止です） SAMEORIGIN 自分自身と生成元が同じフレームの場合にページを表示することを許可（他のサイトに禁止したい場合は主にこ

ネットワークサービスでは常に「アカウントが何者かに乗っ取られる」という危険性がある。自分が管理しているGoogleアカウントは大丈夫なのか、有効な対策は何か？ グーグル提供の「2段階認証」を中心に解説する。 連載目次 ネットワークサービスのアカウント乗っ取りの被害が生じた、というニュースはしばしば見かける。 Gmail乗っ取りの報告相次ぐ（ITmedia ねとらぼ） Googleアカウントが乗っ取られた場合の被害については、説明するまでもないだろう。スパムの踏み台として利用されるだけならまだしも、大切な個人情報を悪用されたり金銭的な損害を受けたりする可能性だって大いにある。多種多様なグーグルのサービスを利用できるからこそ、万一の被害は大きくなりがちだ。何としても乗っ取りは避けたいし、万一乗っ取られたら速やかに回復しなければならない。 そこで本稿では、Googleアカウントが乗っ取られていな

ちょっとSQL Injectionについて未だに情報が少ないのにいらついていたので。 というか対策ばっかりで何ができますよーってのはほとんどログインできますよーくらいじゃねえか。 具体的な攻撃方法もわからずにぼんやり対策してるだけの人多いような気がするのでちょっと攻撃方法書いとく。 SQLインジェクションってなに？ アプリのユーザ入力領域からSQL文を注入されてしまうこと。 サーバでこういうコード書いてると、user_nameに「' or '1'='1';#」とか書かれて素敵なことになる。(mysqlの場合) String sql = "SELECT * FROM users WHERE = name = '"+user_name+"' AND password='"+user_password+"'"; 簡単に言うと、開発者の意図しないSQLをユーザの入力によって行う攻撃手法ですね。 S

2. 目次 • 自己紹介 • これから書き始める人の悩み • ついついやってしまうセキュリティホール • HTML5まわりで起こるセキュリティ対策 • まとめ • 参考文献 HTML5など勉強会 #05 2012/07/21 @ym405nm http://ym405nm.info 3. 自己紹介 • 名前：松本 悦宜(よしのり) • Twitter : @ym405nm • 会社：神戸デジタル・ラボ • 業務：Webプログラマー、セキュリティエンジニ ア、セキュリティコンサルタント セキュリティ JavaScript HTML5 Android Web 神戸ITフェスティバル 讃岐うどん 小ネタ HTML5など勉強会 #05 2012/07/21 @ym405nm http://ym405nm.info 4. 自己紹介 • セキュリティ診断 事例 : ECサイト 管理者アカウントがのっと

JavaScriptはJSファイルが置いてある以外のドメインのファイルをセキュリティの関係上、参照出来ない仕様になっています。 よく他ドメインのXMLなどを参照したいときなどこの壁にぶつかりますね。。 この問題を解決する方法はおもに3つあります。 PHPやCGIを経由する Flashを経由する JSONPを使う PHPやCGIを経由する これは"JavaScript"→"PHP or CGI"→"参照したいファイル"という順に読み込んでいきます。 設定がとても簡単で一番一般的な方法かもしれません。 CGI等が使用出来る環境でなければならないのが条件です。 XMLを読み込む前提で記述例です。 PHP(ajax.php) <?php if(isset($_GET["url"])) readfile($_GET["url"]); ?> JavaScript(jQuery) $(function(

こんにちはこんにちは！！ 今日はCSRF脆弱性のちょっとした話です！ このCSRFってなにかっていうと、 サーバーへのリクエストを『誰かに勝手に送らせる』っていうセキュリティがらみの攻撃手法のひとつ。 わかりやすい例だと、 HTMLの画像タグを以下のようにしたページを誰かに教える。 <img src="何々SNSの足跡.php" width="1" height="1"> そうすると、そのページを「見た人」が何々SNSの足跡.phpにアクセスしたことになる。 ※詳しくはこちらのマンガで → ［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ ： 第2回 しーさーふって何ですか？ CSRFってこんな風に、 「ログイン済みの人に何か操作させる」ってイメージが強くて、 対策する側もまた、「既にログイン済みの人を守る」ような考えが強いんだよね。 例えば、勝手に日記に投稿させないように対